3psilon website

Sommaire

 - Présentation
 - Pré-recquis
 - Les protocols
 - Références

Iptraf est outil de monitoring réseau exclusivement destiné pour linux. Il fonctionne en mode console et utilise la librairie ’ncurse’ permettant d’afficher en couleur la charge du réseau.

  Linux kernel 2.0.x (IPTraf 1.4)
  Linux kernel 2.2.x (IPTraf 2.0)
  Processeur Pentium (ou équivalent)
  8MB de mémoire ram
  16MB de mémoire virtuelle
  une ou plusieur interface réseau (Ehernet, FDDI, ISDN, SLIP, PPP, loopback)

Plusieurs protocols sont gérés par Iptraf :

  Ethernet
  FDDI
  SLIP
  PPP
  ISDN/sync PPP
  ISDN/Cisco HDLC
  ISDN/Raw IP
  PLIP
  Local loopback

Voici une liste non-exhaustive des capacitées de Iptraf :

  Total, IP, TCP, UDP, ICMP, et non-IP
  TCP source et destination des addresses et ports
  TCP packet et bytes
  UDP source et destination
  ICMP type information
  OSPF source et destination
  TCP et UDP statistiques
  nombre de packets par Interface
  Erreur de checksum

Voila pour ce qui concerne le rendu disponible de Iptraf. Nous allons par la suite décrire sommairement l’interface, quelques options disponibles, ainsi que les flags des connexions TCP. L’interface se présente sous la forme de tableau indiquant diverses informations :

Toutes les connexions actives sont visibles ainsi que les tentatives de connexions. Les requêtes DNS ou ARP sont disponibles dans le tableau du bas. Si l’on prend une ligne en particulier, on peut comprendre l’enchainement de la connexion :

Ou l’on constate que l’ip 82.236.104.XXX a instancié une connexion (flag SYN) et que l’ip 82.236.46.XXX à refusé et terminé cette tentative de connexion (RESET). Le port peut également indiquer le type du service, ici le port 135 nous indique qu’il sagit des sessions netbios.

Pour comprendre le statut des connexions, il est indispensable de connaitre les flags d’une connexion TCP :

  URC (U) : signifie paquet urgent
  ACK (A) : pour répondre positivement
  PSH (P) : pour forcer la transmission de donnée latente dans une communication
  RST (RESET) : pour répondre négativement a un paquet avec flag SYN
  SYN (S) : demande d’autorisation pour ouvrir une communication avec une machine distante
  FIN (F) : pour mettre fin à une connexion.

Sans rentrer dans les détails des connexions, on peut très bien décider d’afficher simplement les statistiques d’une interface :

Ou l’on aura en temps réel le poid des packets réseaux diffusés ainsi que la vitesse de transfert à l’instant T. Les options de Iptraf sont nombreuses et très utiles :

L’on peut afficher la résolution des machines plutôt que les adresses IP, le nom des services plutôt que les ports de communication. Il est possible également de passer l’interface réseau en mode promiscuous permettant de logguer tout les packets réseaux ou encore d’afficher les adresses MAC.

Pour terminer, sachez qu’il est possible de mettre en place des filtres afin de ne pas surcharger le monitoring. Il est également possible de générer des fichiers logs qui peuvent être repris et interprétés par d’autres outils. Toutes les adresses utiles de Iptraf sont disponibles dans la partie de gauche de cette page.

Page Officielle

Manuel

Analyser